T/SDBDA 16-2021 Especificaciones de seguridad de datos para la plataforma de demostración de aplicaciones de informatización de promoción de tecnología agrícola (Versión en inglés)
Descripción general de las distintas etapas del ciclo de vida de los datos Este documento define las cinco etapas del ciclo de vida de los datos y describe las características y escenarios de los datos: a) Recopilación de datos: la etapa de datos recién generados en el sistema y recopilación de datos de sistemas externos ; b) Transmisión de datos: La etapa en la que los datos fluyen de una entidad a otra a través de la red; c) Almacenamiento de datos: La etapa en la que los datos se almacenan físicamente o en la nube en cualquier formato digital; d) Intercambio de datos: Organizaciones y organizaciones y individuos La etapa de intercambio, apertura e intercambio de datos; e) Retiro de datos: los datos que ya no se procesan ingresan a la etapa de retiro de datos, que implica el archivo, la transferencia, el descarte, la destrucción de información y la destrucción de los medios de almacenamiento. El ciclo de vida por el que pasan datos específicos está determinado por el escenario empresarial real. No todos los datos pasarán completamente por las seis etapas. Sistema de seguridad de datos El sistema de seguridad de datos se divide en tres partes: seguridad del ciclo de vida de los datos, seguridad general y supervisión de seguridad. La seguridad del ciclo de vida de los datos y la seguridad general se refieren a tecnologías de seguridad y medidas de gestión que son comunes a todas las etapas del ciclo de vida de los datos. La supervisión de la seguridad es una medida de supervisión de la seguridad propuesta desde la perspectiva de la autoridad de datos. 5 Seguridad general Planificación de la política de seguridad de los datos Establecer un plan de política de seguridad de datos general para la organización El contenido del plan de política de seguridad de los datos debe cubrir los riesgos de seguridad durante todo el ciclo de vida de los datos. La agencia de gestión debe: a) Aclarar la estrategia general de seguridad de datos que esté en línea con el plan estratégico de datos de la organización, y aclarar la política de seguridad, los objetivos de seguridad y los principios de seguridad; b) Con base en la estrategia general de seguridad de datos de la organización, aclarar los datos. sistema de seguridad con datos como núcleo a nivel organizacional y procedimientos, que cubre negocios, sistemas y aplicaciones relacionadas con el ciclo de vida de los datos, incluyendo propósito, alcance, cargos, responsabilidades, compromisos de gestión, mecanismos de coordinación interna y externa y objetivos de cumplimiento; c) Aclarar e implementar aplicaciones de informatización para la promoción de tecnología agrícola, plataforma de demostración y reglas de implementación de seguridad de aplicaciones de datos; d) Aclarar el mecanismo de distribución de los sistemas y procedimientos de seguridad de datos, y distribuir políticas, sistemas y procedimientos de seguridad de datos a los departamentos, puestos y personal relevantes de la organización. . Protección de información personal: Con base en los requisitos de cumplimiento para la protección de información personal, se establecen medidas de protección de información personal para prevenir riesgos de cumplimiento en la protección de información personal. La agencia de gestión debe: a) clasificar todos los requisitos de cumplimiento de protección de la información personal de la organización y formar una lista, y ser capaz de actualizar periódicamente la lista haciendo un seguimiento de los requisitos de cumplimiento de la agencia reguladora; b) al transmitir y almacenar información personal sensible, Utilizar medidas de seguridad como cifrado; c) Al almacenar información biométrica personal, adoptar medidas técnicas para garantizar la seguridad de la información antes de almacenarla, como almacenar la información original y el resumen de la información biométrica personal por separado, o almacenar solo la información resumida. ; d) El personal que está autorizado a acceder a información personal debe establecer una política de control de acceso de autorización mínima para que solo pueda acceder a la información personal mínima requerida para sus funciones y tenga solo los permisos mínimos de operación de datos necesarios para completar sus funciones. La clasificación y calificación de datos se basan en políticas, regulaciones, intercambio de datos y requisitos de seguridad, determinan la clasificación de datos y los métodos de calificación dentro de la organización, y clasifican y clasifican datos. La organización de servicios debe: a) Aclarar los principios, métodos y directrices operativas para la clasificación y clasificación de datos; b) Clasificar y gestionar los datos de la organización; c) Establecer el correspondiente control de acceso, cifrado y descifrado de datos, cifrado y descifrado de datos y gestión de datos. para diferentes categorías y niveles de datos. Medidas de gestión y control de la seguridad, como la desensibilización; d) Aclarar el proceso de aprobación y el mecanismo para los cambios en la clasificación y calificación de los datos, y garantizar a través de este proceso que los cambios en la clasificación y calificación de los datos y sus resultados cumplan con los requisitos de la organización. La gestión de metadatos establece el sistema de gestión de metadatos de una organización para lograr una gestión centralizada eficaz de los metadatos dentro de la organización. Las organizaciones de servicios deben: a) Aclarar el formato semántico unificado y las reglas de gestión de los metadatos, como el formato de los datos, el dominio de los datos, el tipo de campo, la estructura de la tabla, el almacenamiento lógico y la estructura de almacenamiento físico y los métodos de gestión; b) Aclarar los requisitos de gestión de la seguridad de los metadatos, tales como como políticas de contraseñas, listas de permisos, políticas de autorización. Protección de datos sensibles Las autoridades de datos deben establecer mecanismos de protección de datos sensibles para evitar la filtración o el uso indebido de datos sensibles. El departamento de gestión de datos debe: a) Determinar el alcance de los datos confidenciales y aclarar los requisitos de protección de seguridad para los datos confidenciales; b) Presentar requisitos de protección de seguridad para los datos confidenciales y llevar a cabo la protección de seguridad necesaria, como la desensibilización y el control de permisos sobre los datos confidenciales. para garantizar que no se abuse de los datos ni se externalicen. Monitoreo y auditoría: Llevar a cabo monitoreo y auditoría de seguridad para cada etapa del ciclo de vida de los datos para garantizar que el acceso y las operaciones con los datos sean monitoreados y auditados de manera efectiva, y para evitar el acceso no autorizado, el abuso de datos y la corrupción de datos que puedan existir en cada Etapa del ciclo de vida de los datos Prevención y control de riesgos de seguridad como fugas. La organización de servicios debe: a) Establecer puestos y personal responsables de monitorear y auditar los riesgos de seguridad del acceso y las operaciones de datos en cada etapa del ciclo de vida de los datos. Este puesto y personal son parte de la estructura de gestión de riesgos de la organización y siguen el entorno funcional general. de gestión de riesgos. ; b) Aclarar los requisitos de registro, los requisitos de monitoreo de seguridad y los requisitos de auditoría para varios tipos de acceso a datos y operaciones dentro de la organización; c) Establecer herramientas tecnológicas de monitoreo de registros para el acceso a datos y operaciones para lograr alarmas por acceso anormal a datos y operaciones, y datos altamente confidenciales y el acceso y operaciones de datos por parte de cuentas privilegiadas se incluyen en el alcance de monitoreo clave. Control de identificación y acceso: Establecer mecanismos de control de acceso a datos y autenticación de identidad basados en las necesidades de seguridad de datos de la organización y los requisitos de cumplimiento para evitar el riesgo de acceso no autorizado a los datos. La organización de servicios debe: a) Aclarar los requisitos de identificación de identidad, control de acceso y gestión de autoridad de la organización, y aclarar los requisitos para identificación de identidad e identificación, control de acceso y gestión de autoridad, tales como asignación, cambio y revocación de autoridad; b) De acuerdo con suficiencia mínima, autoridad Basado en principios como la separación, otorgar a diferentes cuentas los permisos mínimos necesarios para completar sus respectivas tareas y formar una relación mutuamente restrictiva entre ellas; c) Aclarar el proceso de autorización y aprobación de permisos de datos, y revisar las solicitudes de permisos de datos y cambios. 6 Seguridad de la recopilación de datos Gestión de la seguridad de la recopilación de datos En el proceso de recopilación de datos, es necesario aclarar el propósito y el uso de la recopilación de datos, garantizar la autenticidad, validez y adecuación mínima de las fuentes de datos, y estandarizar los canales para la recopilación de datos y el formato. de datos y procesos y métodos relacionados para garantizar el cumplimiento, la legitimidad y la coherencia de la ejecución de la recopilación de datos. Las agencias de servicios deben: a) Seguir los principios de legalidad, necesidad e idoneidad, y recopilar datos de acuerdo con el alcance y los procedimientos legales; b) Garantizar que en el proceso de generación de recursos de datos a través de sistemas comerciales, monitoreo, medición, grabación de audio, grabación de vídeo, etc., la protección de secretos de estado, regulaciones pertinentes sobre secretos comerciales y privacidad personal; c) aclarar el alcance del conocimiento de información personal y datos importantes durante el proceso de recopilación de datos y las medidas de control que deben tomarse, y Adoptar medios técnicos para garantizar que la información personal y los datos importantes no se filtren durante el proceso de recopilación de datos. Identificación y registro de la fuente de datos: identifique y registre la fuente de datos para evitar la falsificación y la falsificación de datos. La organización de servicios debe: a) aclarar el sistema de gestión de fuentes de datos, identificar y registrar las fuentes de datos recopiladas; b) adoptar medios técnicos para identificar y registrar los datos y las fuentes de datos recopilados externamente; c) hacer una copia de seguridad de los datos clave de trazabilidad, y adoptar medios técnicos para proteger de forma segura los datos de trazabilidad. 7 Seguridad de la transmisión de datos Cifrado de la transmisión de datos: de acuerdo con los requisitos de transmisión de datos internos y externos de la organización, se adoptan medidas de protección de cifrado adecuadas para garantizar la seguridad de los canales de transmisión, los nodos de transmisión y los datos de transmisión, y para evitar la fuga de datos durante el proceso de transmisión. . Las organizaciones de servicios deben: a) Aclarar las especificaciones de gestión de seguridad de la transmisión de datos y los requisitos de seguridad de la transmisión (como el cifrado del canal de transmisión, el cifrado del contenido de los datos, la verificación de firmas, la autenticación de identidad, la seguridad de la interfaz de transmisión de datos, etc.) y determinar los escenarios en los que el cifrado de la transmisión de datos se requiere; b ) Establecer especificaciones de seguridad de gestión de claves y aclarar los procesos y requisitos para la generación, distribución, acceso, actualización, copia de seguridad y destrucción de claves; c) Detectar la integridad de los datos transmitidos y disponer de medios técnicos para la tolerancia o recuperación de fallos de los datos. La gestión de la disponibilidad de la red logra una alta disponibilidad de la red mediante la construcción de respaldo de la infraestructura de la red y el equipo de prevención de fugas de datos de la capa de red, garantizando así la estabilidad del proceso de transmisión de datos. La organización de servicios debe: a) Desarrollar los indicadores de gestión de la disponibilidad de la red de la organización, incluidos los valores de probabilidad de disponibilidad, tiempo/frecuencia/unidades de negocio estadísticas de falla, etc.; b) Con base en los indicadores de gestión de la disponibilidad, establecer planes de configuración del servicio de red y planes alternativos de tiempo de inactividad. , etc.; c ) Implementar equipos relevantes para evitar la disponibilidad de la red y los riesgos de fuga de datos, como equilibrio de carga, ataques anti-intrusión, detección y protección de prevención de fuga de datos y otros equipos. 8 Seguridad del almacenamiento de datos La seguridad de los medios de almacenamiento proporciona tecnología y medios de gestión efectivos para escenarios en los que es necesario acceder a los medios de almacenamiento de datos y utilizarlos dentro de la organización para evitar el riesgo de fuga de datos que puede ser causado por un uso inadecuado. Los medios de almacenamiento incluyen equipos terminales y almacenamiento en red. La organización de servicios debe: a) Aclarar las normas de gestión de seguridad para el acceso y uso de los medios de almacenamiento, y establecer el proceso de aprobación y registro para el uso de los medios de almacenamiento; b) Establecer la identificación de los activos de los medios de almacenamiento y aclarar los datos almacenados en el medios de almacenamiento; c) Acceder y utilizar los medios de almacenamiento. El comportamiento se registra y audita. La seguridad del almacenamiento lógico se basa en las características comerciales de los datos y los requisitos de seguridad del almacenamiento de datos, y establece controles de seguridad efectivos para la base de datos y la arquitectura de almacenamiento lógico. La organización de servicios debe: a) Establecer un administrador de seguridad para cada sistema de almacenamiento lógico de datos, responsable de la gestión de seguridad y la operación y mantenimiento del sistema de almacenamiento lógico de datos y del equipo de almacenamiento; b) Aclarar las especificaciones de seguridad y las reglas de configuración para el almacenamiento lógico de datos. gestión, varios tipos de datos Requisitos para la gestión de permisos de cuentas, control de acceso, gestión de registros, gestión de cifrado, actualizaciones de versiones, etc. del sistema de almacenamiento; c) Aclarar los requisitos de operación y autorización de aislamiento del almacenamiento lógico de datos para garantizar la seguridad del almacenamiento de datos multiusuario Capacidades de aislamiento. La copia de seguridad y recuperación de datos implementa una gestión redundante de los datos almacenados y protege la disponibilidad de los datos mediante copias de seguridad y recuperación periódicas de datos. Las organizaciones de servicios deben: a) Aclarar el sistema de gestión para el respaldo y la recuperación de datos para cumplir con los objetivos de seguridad, como la confiabilidad y disponibilidad del servicio de datos; b) Aclarar los procedimientos operativos para el respaldo y la recuperación de datos, y definir claramente el alcance, la frecuencia y las herramientas de copia de seguridad y recuperación de datos, procesos, registros, duración del almacenamiento de datos, etc.; c) Identificar los requisitos de cumplimiento aplicables a la organización, y registrar y guardar datos relevantes de acuerdo con los requisitos de las autoridades reguladoras; d) Establecer herramientas técnicas unificadas para copia de seguridad y recuperación de datos para garantizar la seguridad del trabajo relacionado. Ejecutado automáticamente. 9 Seguridad del intercambio de datos La seguridad del intercambio de datos reduce los riesgos de seguridad en escenarios de intercambio e intercambio de datos a través del control de seguridad del proceso de intercambio e intercambio de datos. Las agencias de servicios y gestión deben: a) aclarar los principios y especificaciones de seguridad del intercambio de datos, aclarar el contenido, el alcance, las medidas de control y las responsabilidades y permisos de usuario relevantes de las instituciones o departamentos involucrados; b) aclarar los datos de los proveedores de datos y los compartidos. usuarios de datos Responsabilidades de seguridad y capacidades de protección de la seguridad; c) Aclarar los procedimientos de auditoría de intercambio de datos, los requisitos de gestión de registros de auditoría y los requisitos de registros de auditoría para brindar asistencia para el manejo, la respuesta de emergencia y la investigación posterior al evento de incidentes de seguridad de intercambio de datos; d) Aclarar especificaciones de formato de datos compartidos, como la especificación de formato legible por máquina proporcionada. En el proceso de divulgación de datos a organizaciones externas, la apertura y la seguridad de los datos implementan los controles necesarios sobre el formato, el alcance de la aplicación y los derechos y obligaciones de los editores y usuarios para lograr la seguridad, la controlabilidad y el cumplimiento de los datos en el proceso de divulgación de los datos. Las agencias de servicios y gestión deben: a) Aclarar el sistema de revisión de la apertura de datos y revisar estrictamente los requisitos de cumplimiento para la apertura de datos; b) Aclarar el contenido, el alcance y las especificaciones de la divulgación de datos, y aclarar los derechos y obligaciones de los editores y usuarios; c ) Revisar periódicamente la apertura de los datos si contienen información no pública y tomar medidas pertinentes para cumplir con el cumplimiento de la apertura de los datos; d) Establecer una plataforma abierta de datos para implementar el registro de datos públicos, el registro de usuarios y otros mecanismos de verificación y reconocimiento mutuo. La seguridad de la interfaz de datos evita que las organizaciones corran riesgos de seguridad en el proceso de llamar a las interfaces de datos mediante el establecimiento de un mecanismo de gestión de seguridad para las interfaces de datos de servicio. Las agencias de servicio y gestión deben: a) Aclarar la estrategia de control de seguridad de la interfaz de datos, especificar restricciones de seguridad y medidas de control de seguridad para el uso de interfaces de datos, como autenticación de identidad, control de acceso, políticas de autorización, firmas, marcas de tiempo, protocolos de seguridad, tráfico anormal. control y control de disyuntores, etc.; b) Aclarar los requisitos de seguridad para las interfaces de datos, incluidos los nombres de las interfaces, los parámetros de las interfaces, etc.; c) Utilizar medidas de seguridad tales como canales seguros, transmisión cifrada y marcas de tiempo para las llamadas a las interfaces de datos a través de la seguridad. dominios. 10 Seguridad de la retirada de datos La eliminación de la retirada de datos realiza la retirada de datos estableciendo un mecanismo para archivar, transferir, eliminar y purificar datos, y previene el riesgo de fuga de datos causado por la recuperación de datos en el medio de almacenamiento. Las agencias de servicios y gestión deben: a) Establecer el proceso de archivo de datos de la organización, aclarar los requisitos de seguridad del archivo, aprobar y registrar los datos archivados y garantizar que todos los procesos de archivo sean controlables, rastreables y auditables; b) Establecer un proceso claro de transferencia de datos, aclarar los requisitos de seguridad para la transferencia de datos. Cuando los datos se transfieren dentro de una organización o entre organizaciones, se debe llevar a cabo una evaluación de riesgos de seguridad de la transferencia de datos; c) Registrar el proceso de transferencia y los datos transferidos para garantizar la seguridad, confiabilidad y disponibilidad de los datos. proceso de transferencia, y garantizar la seguridad de los datos transferidos, coherencia e integridad, d) Establecer políticas de seguridad y medidas de control de los datos archivados para garantizar que usuarios no autorizados no puedan acceder a los datos archivados. Destrucción y eliminación de medios de almacenamiento: para los medios de almacenamiento dañados o desechados, establezca medios técnicos y de gestión para la destrucción segura de los medios para evitar que los datos en los medios enfrenten riesgos de seguridad debido a la pérdida, el robo o el acceso físico no autorizado de los medios. Las agencias de servicio y gestión deben: a) Aclarar las estrategias, sistemas y mecanismos de gestión de procesamiento de destrucción de medios de almacenamiento, y aclarar los objetos y procesos de destrucción; b) Proporcionar herramientas unificadas de destrucción de medios de almacenamiento, que incluyen, entre otras, destrucción física, equipos de desmagnetización y otras herramientas. que puede lograr la destrucción efectiva de diversos tipos de medios; c) Establecer métodos y tecnologías de desmantelamiento de datos para la destrucción en disco y destrucción en disco de discos flash, discos duros, cintas, discos ópticos y otros datos de medios de almacenamiento.
T/SDBDA 16-2021 Historia
2021T/SDBDA 16-2021 Especificaciones de seguridad de datos para la plataforma de demostración de aplicaciones de informatización de promoción de tecnología agrícola